Asignación de grupos LDAP na ASA fronte a DAP para a política de grupo VPN

Dous rexistros distintos deciden que política de grupo recibe unha sesión de AnyConnect, e viven en partes diferentes da configuración con modos de fallo distintos. Un mapa de atributos LDAP traduce un valor do directorio nun atributo de autorización da ASA durante a autenticación; un rexistro DAP avalía condicións despois e pode engadir ou sobrescribir atributos. Ambos poden acabar no mesmo nome de política, así que un inicio de sesión que funciona non lle di nada sobre que mecanismo o produciu. O sentido de comparalos é escoller un a propósito en lugar de deixar que o segundo anule silenciosamente o primeiro.

Dous mecanismos, dous puntos de decisión

A elección redúcese a tres preguntas. Depende a decisión dun único valor de atributo do directorio, necesita máis que ese valor, e que mecanismo ten permiso para gañar cando ambos coinciden?

Se a única entrada é a pertenza a un grupo, o mapa de atributos é a ferramenta máis pequena e a máis fácil de auditar: un mapa, asociado a un servidor AAA, cunha liña por grupo. Se a selección debe considerar a postura, a identidade do endpoint, un segundo atributo ou unha xanela temporal, o mapa queda sen entradas e DAP é o mecanismo que pode expresar a regra. Se ambos están en xogo, coñeza a precedencia na súa versión antes de escribir calquera dos dous, porque unha sesión que coincide cun rexistro DAP pode non conservar a política que devolveu o mapa. Todo o demais é contabilidade.

A ruta do mapa de atributos, en orde de configuración

A ruta do mapa comeza na definición do servidor AAA. O mapa de atributos debe estar asociado á entrada do servidor LDAP que o perfil de conexión realmente utiliza; un mapa que existe na configuración en execución pero que ese servidor non referencia non cambia nada. Ese é a liña de asociación que fai viva o resto da configuración. A guía de mapeo LDAP da ASA é a referencia para a sintaxe do mapa nas versións 9.x.

Dentro do mapa, unha sentenza nomea o atributo do directorio e o atributo da ASA que alimenta, e outras sentenzas traducen valores concretos. map-name memberOf Group-Policy seguido de map-value memberOf CN=VPN-Support,OU=Groups,DC=corp,DC=example Support-ReadOnly é a forma: o lado esquerdo é o que devolveu o directorio, o lado dereito é o nome dunha política de grupo que xa debe existir. Un nome distinguido e un nome de visualización de política non son intercambiables, e unha coincidencia case exacta en calquera das dúas cadeas non produce ningún erro ao iniciar sesión.

Aquí morden dous detalles: memberOf devolve todos os grupos aos que pertence a conta, así que un usuario en dous grupos mapeados entrega ao mapa dous valores candidatos, e a regra alfabética da guía é o único desempate co que pode contar en lugar da súa propia orde de prioridade. Un valor non mapeado non devolve nada, o que recae silenciosamente na política predeterminada do perfil.

A ruta DAP e que engade

DAP avalía condicións e aplica atributos sobre o resultado de AAA. Un rexistro leva unha prioridade, unha acción e un conxunto de condicións; os rexistros avalíanse por orde de prioridade e a acción decide se a avaliación continúa ou se detén. Ese é un modelo de execución distinto do dunha busca de valor, e por iso mesmo pode expresar regras que o mapa non pode.

O que DAP engade son entradas. As condicións poden referenciar atributos do directorio, atributos do endpoint e o estado de postura, e un rexistro coincidente pode levar ACL, listas de URL ou filtros para esa sesión. Así, unha regra como que o persoal de soporte nun portátil xestionado reciba a política de só lectura mentres ese mesmo persoal nun dispositivo non xestionado recibe unha restrinxida é expresable en DAP e non nun mapa de atributos. O mapa ten exactamente unha entrada: o valor que o directorio devolveu para o atributo que vostede nomeou.

DAP tamén engade un segundo lugar onde mirar cando unha sesión acaba na política equivocada. Un rexistro que coincide cunha acción de continuar non remata a avaliación, e un rexistro posterior aínda pode cambiar o resultado, así que o que observa é o produto dunha secuencia e non dunha soa busca. Lea os números de prioridade en orde, e lembre que o rexistro de respaldo pode ser o que fai o traballo. O mapa, en cambio, non ten secuencia: un atributo, un valor, unha resposta.

Onde os dous discrepan

A precedencia é a parte que rompe deseños. Cando unha sesión coincide tanto cunha entrada do mapa como cun rexistro DAP, o resultado depende da versión e da acción do rexistro, así que verifíqueo na súa propia ASA en lugar de supor que un dos mecanismos posúe o resultado.

Tres modos de fallo explican a maior parte da confusión. Un mapa definido pero nunca asociado á etiqueta de servidor que utiliza o perfil produce a política predeterminada sen ningún erro en ningures. Unha cadea de condición DAP que difire do valor do directorio en maiúsculas ou espazos nunca coincide, e o rexistro de respaldo aplícase silenciosamente. E unha política de grupo que aínda non existe é aceptada polo mapa, porque o mapa só devolve un nome, así que a sesión non recibe ningún dos permisos previstos e non hai nada no rexistro que sinale o obxecto que falta. Comprobe os tres antes de tocar a pertenza aos grupos.

Ler a evidencia dunha sesión activa

Lea a resposta dunha sesión nova e non da configuración. show vpn-sessiondb detail anyconnect filter name jdoe imprime a política de grupo que a sesión recibiu realmente, e show running-config ldap attribute-map confirma que valores podería ter devolto o mapa. Do lado do directorio, test aaa-server authentication LDAP-AD username jdoe password <password> mostra os atributos que a ASA recibiu de volta, e debug ldap 255 mostra o intercambio cando a proba non coincide co que esperaba.

Despois concilie catro rexistros por escrito: o valor do directorio, o mapa ou a condición DAP configurados, a política de grupo local e o recurso ao que o usuario puido chegar realmente. Se os tres primeiros cadran e o cuarto non, o problema está no corpo da política e non na selección. Se a sesión mostra o nome de política correcto pero a ACL equivocada, deixe de mirar LDAP por completo. Cambie un rexistro á vez e volva comprobar unha sesión nova, porque unha sesión reconectada é a única evidencia que reflicte a configuración que acaba de escribir.